令和5年度 秋期 情報処理安全確保支援士試験 午前II 問12
脆弱性管理, 測定, 評価を自動化するためにNISTが策定した基準はどれか。
解答・解説
正解: イ. SCAP (Security Content Automation Protocol)
NIST（米国国立標準技術研究所）が策定した、脆弱性管理やセキュリティ設定の測定・評価を自動化するための標準的な枠組みは SCAP (Security Content Automation Protocol) です。SCAPは、脆弱性の識別子（CVE）や深刻度の評価手法（CVSS）など、複数のオープンな仕様を組み合わせて構成されています。
各選択肢の解説
- ア FIPS (Federal Information Processing Standards): 米国連邦情報処理標準です。米国連邦政府の機関が利用する情報システムにおける、暗号技術やセキュリティ要件などの標準規格を定めたものです。
- イ SCAP (Security Content Automation Protocol): 正解です。脆弱性管理、測定、評価を自動化するためにNISTが策定した基準です。
- ウ SIEM (Security Information and Event Management): ネットワーク機器やサーバーなどの様々なシステムから出力されるログを一元的に収集・相関分析し、セキュリティ上の脅威や異常を早期に検知する仕組みのことです。
- エ SOAR (Security Orchestration, Automation and Response): 様々なセキュリティ機器やシステムと連携し、インシデント対応などのセキュリティ運用プロセスを自動化・効率化する技術やソリューションのことです。